1-2021

Gebäudeautomation
Hacken per Klimaanlage, Aufzug im freien Fall?
Cybersicherheit in der Gebäudeautomation
Cybersicherheit für industrielle Steuerungsnetze ist eine Herausforderung für sich.
trotz Fernwartungszugang für die Klimatechnik.
Die Digitalisierung deckt unterschiedliche
und komplexe Anwendungsbereiche
ab. Typische Anwendungen
sind unter anderem HLK – die Heizung,
Lüftung und Klimatechnik, Energie-Managementsysteme,
Lichtsteuerung,
Videoüberwachung, Zugangskontrollsysteme
und die Aufzugssteuerung.
Dazu kommen noch die angeschlossenen
Sensoren und Geräte
(Kameras, Thermostate, Lichtsensoren).
Jedes dieser Systeme verspricht
nicht unerhebliche Einsparungen
bei den Betriebs- und Energiekosten.
Allerdings vergrößern sie
die Angriffsfläche für Cyberbedrohungen
und erschweren das Sicherheits-Management
als solches. Jedes
System und jedes einzelne Gerät, einschließlich
der verschiedenen Versionen
und Überarbeitungen, weist
ein bestimmtes Maß an potenziellen
Cyberrisiken auf.
Autor:
Maximillian Gilg
Industrial Control Systems
Security Engineer, Tripwire
www.tripwire.com/
Der Aufzug in freien Fall gehört zweifelsohne
in die Welt der Hollywood-
Filme, aber ein digitalisierter Aufzug
ist so smart wie angreifbar. Und schon
vor mehreren Jahren spielte das Magazin
Wired.com durch, wie man mittels
Klimaanlage ein Stromnetz hackt.
Cybersicherheit für industrielle Steuerungsnetze
ist aus vielen Gründen
eine Herausforderung für sich. Ungeklärte
oder überlappende Verantwortlichkeiten,
technische Probleme, mangelnde
Erfahrung auf Seiten der Anlagenbetreiber
und der Sicherheitsexperten
im Unternehmen, um nur einige
zu nennen.
Kritische Infrastrukturen
Die meisten Steuerungssysteme eines
Unternehmens sind, was ihre Rolle für
die betriebliche Verfügbarkeit und den
geschäftlichen Erfolg anbelangt, tatsächlich
kritische Infrastrukturen. Dazu
zählen Systeme wie eine Rechenzentrums-Klimaanlage,
Brandmeldeanlagen,
Aufzüge und Schließanlagen
und selbst die Kühlschranksteuerung
oder die vernetzte Kaffeemaschine.
Üblicherweise liegen diese Anlagen
und Systeme außerhalb des Einflussbereichs
eines Cybersicherheitsbeauftragten.
Oft genug weiß er nicht einmal,
welche Systeme im Netz hängen.
Die Folge: Das mögliche Angriffs risiko
für eine Rechenzentrums-Klimaanlage
wird erst gar nicht ins Kalkül gezogen,
Die Risiken sind real
Schon beim erfolgreichen Hack
der Einzelhandelskette Target verschafften
sich die Angreifer Zugang
zu einem HLK-System. Von dort aus
arbeiteten sie sich bis in die Finanzsysteme
der Kette vor und zogen von
dort über 40 Millionen Kreditkartendaten
ab. Vor nicht einmal zweieinhalb
Monaten erschütterte Ripple20
das IoT. Die zum Teil als kritisch eingestuften
Sicherheitslücken wurden
in einer TCP/IP-Implementierung aufgedeckt.
Der TCP/IP-Stack verarbeitet
als erste Instanz sämtliche Netzwerkdaten.
Kommt es an dieser verwundbaren
Stelle zu Programmierfehlern,
führen diese oft zu schwerwiegenden
Sicherheitslücken. Ripple20
gefährdet vernetzte Steckdosen, medizinische
Geräte, aber auch die Sensoren
industrieller Steuerungssysteme.
Die Forscher der israelischen
Sicherheitsfirma JSOF fanden gleich
19 Sicherheitslücken, zusammengefasst
als „Ripple20“. Mittels Ripple20
sind Angreifer beispielsweise in der
Lage, eigenen Code einschleusen
und auszuführen (Remote Code Execution)
oder kritische Daten auszulesen.
Unsichere Industrieprotokolle
22 Haus und Elektronik 1/2021